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A reference check bit pattern is stored in a 
nonvolatile storage medium of a vehicle-mounted 
microcomputer. A portion of a volatile storage 
medium is allocated for the purpose of storing the 
reference check bits. The microcomputer is 
programmed to compare the check bits stored in 
both the volatile and nonvolatile storage 
mediums. In response to a command signal, a 
mismatch is detected between the reference 
check bits of the volatile and nonvolatile mediums 
to indicate that data stored in the volatile memory 
have failed due to a power outage. The failed 
check data of the volatile memory is rewritten 
with the reference check data in the nonvolatile 
memory for later comparison. At the same time 
all data stored in the remaining portion of the 
volatile memory is erased so the remaining 
portion can accept a set of fresh input data. 
When a match occurs the computer proceeds 
with the normal computing functions. 
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PATENTANSPRUCHE 

1 . Verfahren zum Absichern der Daten im nicht-f luchtigen 
bzw. programmierbaren fliichtigen Speichermedium eines vor- 
zugsweise aus einer Fahrzeug-Stromquelle versorgten Mikro- 
computers gegen einen Ausfall der Stromversorgung, 
dadurch gekennzeichnet, daB 
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- in dem nicht-f luchtigen Speichermedium Priifdaten 
gespeichert, 

- in dem programmierbaren Speichermedium ein Abschnitt 
zum speichern der PrUfdaten reserviert und der Rest 
zum Speichern anderer, fUr Rechenf unktionen benbtig- 
ter Daten ausgenutzt, 

- in Abhangigkeit von einem Bef ehlssignal eine Uberein- 
stimmung bzw. eine fehlende ubereinstimmung zwischen 
den in dem nicht-f luchtigen Speichermedium und den 

in dem reservierten Abschnitt des programmierbaren 
Speichermediums gespeicherten Priifdaten f estgestellt, 

- bei Feststellung einer fehlenden Ubereinstimmung 
samtliche im programmierbaren Speicher enthaltenen 
Daten gelSscht und die im nicht-f ltichtigen Speicher- 
medium gespeicherten PrUfdaten in dem reservierten 
Abschnitt des programmierbaren Speichermediums iiber- 
tragen , und 

- nach Feststellung der Ubereinstimmung der Mikrocom- 
puter zur Fortsetzung seiner normalen Rechenfunktionen 
freigegeben werden. 

2 Verf ahren nach Anspruch 1, dadurch gekenn 
z e i c h n e t , daB die in dem nicht-f luchtigen Speicher- 
medium gespeicherten PrUfdaten aus mehreren DatenwSrtern be- 
stehen, und daB eine Wort-fur-Wort-UberprUf ung zur Feststel- 
lung auf Ubereinstimmung durchgefuhrt wird. 

3 verf ahren nach Anspruch 1 oder 2, dadurch 

g'e k e n n z e i c h n e t , daB die in dem nicht-fluch- 
tigen Speichermedium gespeicherten PrUfdaten in Form von 
Anweisungen zur sukzessiven Erzeugung der Datenworter vor- 
handen sind. 
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4. Verfahren nach einem der Anspriiche 1 bis 3, & a - 
durch gekenrxzeichnet, daB als nicht- 
fliichtiges Speichermediura ein Festspeicher (Read Only Memory) 
verwendet wird. 

5 . Verfahren nach Anspruch 1, dadurch g e - 
kennzeichnet \ daB das Bef ehlssignal in Abhan- 
gigkeit vom Star ten der Maschine des Fahrzeugs erzeugt wird. 

6 . Verfahren nach Anspruch 1 , dadurch g e - 
kennzeichnet, daB das Bef ehlssignal in Ab- 
hangigkeit von der Betatigung eines Zttndschalters des 
Fahrzeugs erzeugt wird. 

7. Vorrichtung zum Absichern eines aus einer Fahrzeug-... 
Stromquelle versorgten und einen nicht-f luchtigen sowie einen 
programmierbaren f luchtigen Speicher enthaltenden Mikrocom- 
puters gegen Datenverlust bei Ausfall der Stromversorgung, 
dadurch gekennzeichnet, daB der 
programmierbare Speicher (RAM, 3) in einen ersten Abschnitt 

(31) zum Speichern von fur Rechenoperationen benotigten Daten 
und in einen zweiten Abschnitt (32) zum Speichern von Priif- 
daten unterteilt 1st; daB in dem nicht-f luchtigen Speicher 

(ROM, 46) Prufdaten gespeichert sind, und daB Elemente 

(41 , 43, 44) zur Erzeugung eines Bef ehlssignals und zur Fest- 
stellung -einer Ubereinstimmung Oder einer f ehlenden Oberein- 
stiramung zwischen den im programmierbaren Speicher und den 
im nicht-f Itichtigen Speicher gespeicherten Prufdaten in 
Abhangigkeit von dem Bef ehlssignal vorhanden sind. 
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8. Vorrichtung nach Anspruch 7, dadurch 
gekennzeichnet , daB die Elemente (41 ...) 
zur Erzeugung des Bef ehlssignals mit einer Starteinrich- 
tung (2) fiir die Fahrzeugmaschine verbunden sind. 
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BESCHREIBUNG 



Die Erfindung bezieht sich auf ein Verfahren zum 
Absichern eines aus einer Fahrzeug-Stromquelle versorgten 
Mikrocomputers gemaB dem Oberbegrif f von Patentanspruch 1 , 
und auf eine Vorrichtung zur Durchfiihrung des Verfahrens. 

Elektronische digitale Mikrocomputer finden auf dem 
Automobilsektor zunehmende Verwendung, beispielsweise 
zur Oberwachung der optimalen Betriebsbedingungen der 
Fahrzeugmaschine zwecks Einhaltung der Vorschriften iiber 
die Schadstof fabgabe und zur wirtschaf tlichen Treibstoff- 
ausnutzung. 

Bei solchen in Fahrzeugen betriebenen Mikrocomputern 
besteht das Problem, daB im Mikrocomputer-Speicher enthal- 
tene Daten verlorengehen , wenn die Fahrzeugbatterie aus- 
fMllt oder zwecks Auf ladung aus dem Fahrzeug entnommen 
wird. Zwar kann man durch Verwendung von sogenannten 
nicht-fluchtigen Speichern den Verlust wichtiger Daten 
bei Ausfall der Stromversorgung vermeiden, jedoch erfor- 
dern solche Speicher eine komplexe Dateniibertragungs- 
schaltung, die nicht nur entsprechend unzuverlassig ist, 
sondern auch zur Kostensteigerung beitragt. Ein anderer 
Weg ware die Verwendung eines zusatz lichen oder komplemen- 
taren MOS-Speichers, der ausschlieBlich von einer separa- 
ten, neben der Haupt±>atterie vorhandenen und im Puffer- 
betrieb geladenen Batterie mit Strom versorgt wird* 
Dieser Weg hat den Nachteil, daB zur Sicherung eines zu- 
verlassigen Betriebes ein zusatzlicher Wartungs auf wand 
erf order lich wMre. 
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Der Erfindung liegt die Aufgabe zugrunde, einen 
wirtschaf tlichen und zuverlassigen Weg zur Sicherung eines 
aus einer Fahrzeug-Stromquelle versorgten Microcomputers 
gegen Datenverlust bei Stromausfall aufzuzeigen. 

Die erf indungsgemSBe Losung ist verf ahrensseitig im 
Patentanspruch 1 , und vorrichtungsseitig im Patentanspruch 7 
angegeben. 

ErfindungsgemaB ist vorgesehen, in einem beispiels- 
weise als Festspeicher ROM (Read Only Memory) ausgebildeten 
sogenannten nicht-f lUchtigen Speicher Referenz- bzw. PrUf- 
daten zusammen mit den Anweisungsdaten, die dem normaler- 
weise gespeicherten und zur Durchf uhrung der verschiedenen 
Rechenfunktionen in dem Computer notwendigen Programm ent- 
sprechen, gespeichert sind. Ein fluchtiger, d.h. program- 
mierbarer Speicher, beispielsweise ein Speicher mit 
wahlfreiem Zugriff RAM (Random Access Memory) hat einen 
bestimmten reservierten Speicherbereich, in den die Refe- 
20 renz- bzw. Pruf daten Ubertragen werden. Der Mikrocomputer 

ist so programmiert, dafi-er die Priifdaten in beiden Speicher 
aufsucht und in Abhangigkeit von einem Bef ehlssignal , wel- 
ches beim Anlassen der Fahrzeugmaschine erzeugt wird, rait- 
einander auf Obereinstimmung vergleicht. Besteht diese 
25 Obereinstimmung, dann fiihrt der Computer seine iiblichen 

Funktionen durch. Wenn jedoch ein Stromausfall stattgefun- 
den hat, dann sind die in dem flUchtigen Speicher enthal- 
tenen Daten im allgemeinen verlorengegangen, es wird also 
eine fehlende Obereinstimmung f estgestellt. Daraufhin 
30 werden samtliche im flUchtigen programmierbaren Speicher 
enthaltenen Daten geloscht und die Referenz- bzw. Prtif- 
daten wiederum in den flUchtigen Speicher Ubertragen, 
damit sie fur spatere Prufoperationen verfUgbar sind. Der 
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Mikrocomputer wird solange an der Fortsetzung seiner iibli- 
chen Rechenfunktionen gehindert, bis der programmierbare 
Speicher wieder mit saint lichen Eingangsdaten versorgt ist, 
die von verschiedenen Sensoren stammen. 

5 

In einem praktischen Anwendungsfall wird eine Ver- 
brennungskraftmaschine in einem ruckgekoppelten Steuer- 
betrieb in der Weise tiberwacht, daB von einem Auspuff- 
Abgassensor ein Riickkopplungssteuersignal bezogen und zu- 

10 sammen mit anderen Signalen, die andere Maschinen-Operations- 
parameter beinhalten, in dem Mikrocomputer verarbeitet wird. 
Eine derartige Ruckkopplungssteuerung erfordert Soll-Daten, 
die Ursprungsbedingungen der Maschine entsprechen, und 
diese Ursprungsdaten werden in dem fltichtigen programmier- 

15 baren Speicher abgespeichert und im anschlieBenden Maschi- 
nenbetrieb fur die Ruckkopplungssteuerung verwendet. Diese 
Ursprungsdaten sind wichtig fur die automatische Kalibrie- 
rung des Systems, weil es Abweichungen zwischen den Betriebs- 
parametern verschiedener Maschinen gibt, die sonst eine 

20 genaue Kalibrierung jeder einzelnen Maschine in bezug auf 
ihre speziellen Leistungsdaten erfordern wurden. Die Ur- 
sprungs-Betriebsdaten der Maschine, die bei Stromausfall 
verlorengegangen sind, werden automatisch wieder durch von 
den verschiedenen Quellen Oder Sensoren bezogene Daten er- 

25 setzt, sobald die Maschine mindestens eine Kurbelwellen- 
umdrehung hinter sich hat. 

Da erfindungsgemaB die Anzahl von Prufbits, die zur 
Sicherstellung einer gtiltigen Aussage tiber verlorene Daten 
30 bei Stromausfall erforderlich sind, nicht grofl ist, bean- 
spruchen diese PrUfdaten auch keinen groBen Speicherplatz 
in dem Mikrocomputer. Daher erfordert die Durchfiihrung der 
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Erfindung auch keine nennenswerten Kosten. 

Nachstehend wird ein die Merkmale der Erfindung auf- 
weisendes Ausf uhrungsbeispiel unter Bezugnahme auf eine 
5 Zeichnung naher erlautert. Es zeigen: 

Fig. 1 eine schematische Darstellung des Erfindungs- 

gedankens in Form eines Blockschaltbilds, 
Fig. 2 ein Blockschaltbild einer praktischen Ausftih- 

rungsform der in Fig. 1 dargestellten Erfindung, 
und 

Fig. 3 ein FluBdiagramm zur Beschreibung der Operation 
der Ausfiihrung von Fig. 2. 



Der in Fig. 1 schematise* dargestellte erfindungs- 
gemafle Mikrocomputer enthalt eine aus einer Gleichspan- 
nungsquelle 1 , welche die normale Batterie eines StraBen- 
fahrzeugs ist, gespeiste programmierbare Speichereinheit 3, 
die in Fig. 3 auch als RAM (Random Access Memory) bezeichnet 
ist. Sobald ein Schalter 2, welcher der Zundschalter des 
Fahrzeugs sein kann, geschlossen ist, wird aus der gleichen 
Stromquelle 1 eine zentrale Datenverarbeitungseinheit 4 
des Mikrocomputers mit Strom versorgt. In Fig. 1 besteht 
diese zentrale Datenverarbeitungseinheit 4 aus einer 
25 steuereinheit 41, einem Dauerspeicher 42, einer Komparator- 
einheit 43 zur Feststellung von Obereinstimmungen zwischen 
von den Speichern 42 und 3 bezogenen Daten, und eine Daten- 
einschreibeinheit 44. 

30 Die Speichereinheit 3 enthalt einen Datenspeicherab- 

schnitt 31 , in dem alle zur DurchfUhrung von Rechenopera- 
tionen notwendigen Daten gespeichert sind, und einen re- 
servierten Speicherabschnitt 32, der ausschlieBlich zur 
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Speicherung von Daten verwendet wird, die auch im Dauer- 
speicher 42 gespeichert sind. 

Dieser Dauerspeicher 42 ist ein Typ, in dem einmal 
5 gespeicherte Daten auch dann nicht geloscht werden, wenn 
die Stromversorgung ausfallt; in ihm sind Prufbits ge- 
speichert. 



Von an wichtigen Punkten des Fahrzeugs verteilten 
MeBstellen, die in Fig. 1 und 2 der Zeichnung durch ein 
mit 5 bezeichnetes Kastchen symbolisiert sind, erhalt die 
Steuereinheit 41 verschiedene Eingangsdaten und gibt sie 
weiter an ausfUhrende und anzeigende Stellen, in der Zeich- 
nung durch ein Kastchen 6 symbolisiert. 



Im Dauerspeicher 42 sind auBerdem zur Durchftthrung 
von Rechenoperationen notwendige grundsatzliche Anweisungs- 
daten vorprogrammiert. AuBerdem ist der Dauerspeicher 42 
so programmiert, daB er die Steuerschaltung 41 zur Aktivie 
20 rung der Komparatoreinheit 43 auffordert, die im Speicher 
42 gespeicherten Prufbits mit dem im reservierten Speicher 
abschnitt 32 gespeicherten Daten zu vergleichen, wenn der 
Schalter 2 manuell geschlossen wird. Besteht Ubereinstim- 
mung zwischen diesen beiden Datengruppen, dann gibt es von 
25 der Komparatoreinheit 43 kein Aus gangs s ignal , wenn aber 
keine Obereinstimmung festgestellt wird, dann ist dies 
ein Anzeichen dafur, daB in der Speichereinheit 3 ge- 
speicherte Daten teilweise oder ganz verlorengegangen 
sind, und daraufhin gibt die Komparatoreinheit 43 an die 
30 Dateneinschreibeinheit 44 eine Anweisung zum Datenein- 
schreibne ab. Diese Anweisung geht zur Steuereinheit 41, 
welche veranlaBt, daB samtliche jetzt in den Speicher- 
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abschnitten 31 und 32 enthaltenen Daten geloscht werden. 
Gleichzeitig gibt die Einschreibeinheit 44 eine Anweisung 
an die Steuereinheit 41 ab, die Prttfbits in den reservier- 
ten Speicherabschnitt 32 zu iibertragen und nocheinmal 
gegentlber den Referenzbits im Speicher 42 zu ttberpriifen. 
Aufgrund der Einschreibinstruktion iibertragt die Steuer- 
einheit 41 verschiedene von den MeBstellen 5 bezogene Ein- 
gangsdaten in den Datenspeicherabschnitt 31 . 

Wird die Batterie 1 aus dem Fahrzeug zwecks Nachladung 
entnommen, oder ist ihre Spannung unter den normalen Be- 
triebswert abgesackt, dann sind die in der Speichereinheit 3 
enthaltenen Daten verlorengegangen, die Speicherinhalte 
nehmen undefinierte Binarpegel ein. Wenn beim nachsten An- 
lassen des Fahrzeugs manuell der Schalter 2 betatigt wird, 
dann werden die zuvor im reservierten Speicherabschnitt 32 
gespeicherten PrUfdaten gegeniiber den Referenz-PrUfdaten 
geprUft, und sobald eine f ehlende Obereinstimmung zwischen 
ihnen festgestellt wird, werden alle vorher in der Speicher- 
einheit 3 gespeicherten Daten wieder auf den neuesten Stand 
gebracht . 

Bei dem praktischen Ausfuhrungsbeispiel in Fig. 2 
ist der Dauerspeicher 42 ein Festspeicher (ROM = Read Only 
Memory) 46, der grundsatzliche Anweisungsdaten und die 
PrUfdaten gespeichert enthalt. Da dieser Festspeicher ein 
nicht-flUchtiger Speichertyp ist und da auBerdem nur eine 
kleine Zahl von PrUfbits zur Feststellung einer fehlenden 
Prufdaten-Obereinstimmung notwendig sind, bietet die Erfin- 
dung eine billige und zugleich zuverlassige Lbsung zur 
Datensicherung bei Stromausf all, ganz im Gegensatz zum 
Stand der Technik. 
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In Fig, 2 enthalt die mit 45 bezeichnete zentrale 
Datenverarbeitungseinheit die bereits in Fig. 1 beschrie- 
benen Einheiten .41 , 42 und 43, und der Festspeicher 46 ist 
als separate Einheit dargestellt. Eingangs- und Ausgangs- 
5 daten werden iiber ein Eingabe/Ausgabe-Interface 47 einge- 
gegeben bzw. ausgegeben. Die Speichereinheit 3 ist ein 
Speicher mit freiem Zugrif f (RAM) . 

Ira praktischen Betrieb ist der Festspeicher 46 so 
10 programmiert, daB er die zentrale Datenverarbeitungseinheit 
45 in Sequenz zur Erzeugung von Ref erenz-Datenwortern ver- 
anlaflt, von denen jedes vier Bits enthSlt, die eine be- 
stimmte Dezimalzahl represent ieren. Diese Datenworter 
werden in dem reservierten Speicher abschnitt 32 der 
15 Speichereinheit 3 gespeichert. Der Mikrocomputer ist so 
programmiert, daB er die DateniiberprUf ung Wort ftir Wort 
durchfUhrt. Die zentrale Datenverarbeitungseinheit 45 
enthalt einen nicht dargestellten Zahler r welcher zugefiihrte 
Taktimpulse zahlt und dabei einen Satz von vier Binar-Digits 
20 erzeugt, die mit einem Satz von vier aus dem reservierten 
Speicherabschnitt 32 der Speichereinheit 3 bezogenen Bits 
verglichen wird. 

Das Flufldiagramm von Fig. 3 zeigt den Ablauf der Prufung 
25 der erzeugten Priif datenworter gegemiber den im reservierten 
Speicherabschnitt 32 gespeicherten Datenwortern „ Nach manu- 
eller Betatigvmg des Schalters 2 wird der Zahler auf null 
zuriickgesetzt und nimmt die Taktimpulse auf. Sobald der 
ZShler ein erstes durch das Programm bestimmtes Datenwort 
30 ezreugt, wird das erste Datenwort aus dem reservierten 
Speicherabschnitt 32 bezogen und mit dem Ausgang des 
Z&hlers verglichen. Wird eine Ubereinstimmung f estgestellt, 
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dann zShlt der Z&hler weiter, bis das nachste Datenwort 
erzeugt ist. Dieser ProzeB wird wiederholt, bis eine vor- 
bestimmte Anzahl von Datenwortern erzeugt ist, und wenn 
alle so in dem Zahler erzeugten DatenwSrter mit in dem 
5 reservierten Speicherabschnitt 32 vorhandenen Daten auf 
Ubereinstimmung iiberprlift sind, dann geht die Programm- 
steuerung zu den eigentlichen Programmf unktionen iiber. 

Wird festgestellt, daB keine ubereinstimmung zwischen 
10 den gepriiften Datenwortern besteht, dann wird der Zahler 
wieder geldscht, erhalt Taktimpulse und erzeugt das erste 
Datenwort, welches dann in den reservierten Speicherab- 
schnitt 32 der programmierbaren Speichereinheit 3 iiber- 
tragen wird. Der Zahler schreitet automatisch in Uberein- 
15 stimmung mit dem gespeicherten Programm vor und erzeugt 

die nachfolgenden Datenworter, und diese werden sukzessive 
in den Speicherabschnitt 32 iibertragen. Dieser Vorgang 
wird wiederholt, bis alle Datenwdrter in den Speicherab- 
schnitt 32 ubertragen sind. Sobald dieser Vorgang abge- 
20 schlossen ist, werden alle in dem Datenspeicherabschnitt 
31 enthaltenen Daten geloscht, und die Steuerung geht zu 
den eigentlichen Programmf unktionen iiber. 

25 
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ZUSAMMENFASSUNG 



Bei einem in einern Fahrzeug angebrachten Mikrocomputer 
5 ist in einem nicht-f luchtigen Speichermedxum ein Referenz- 
Prtifbitmuster gespeichert, welches auBerdem in einem daftir 
reservierten Abschnitt eines fluchtigen Speichermediums ge- 
speichert wird. Der Mikrocomputer ist so programmiert, daB 
er die in beiden Speichermedien gespeicherten Prxifbits in 

10 AbhMngigkeit von einem Bef ehlssignal miteinander vergleicht, 
und wenn keine tfbereinstimmung zwischen ihnen festgestellt 
wird, dann wird dies als Anzeichen dafur gedeutet, daft in 
dem fliichtigen Speicher enthaltene Daten aufgrund eines 
Stromausfalls verlorengegangen sind. Die verlorenen Priif- 

15 daten werden in dem fliichtigen Speicher durch Referenz- 

Pruf daten aus dem nicht-f luchtigen Speicher fur einen spa- 
teren Vergleich ersetzt, und gleichzeitig werden samtliche 
in dem Restabschnitt des fluchtigen Speichers enthaltenen 
Daten geloscht, damit ein frischer Satz von Eingangsdaten 

20 abgespeichert werden kann. Nach Feststellung einer Daten- 
ubereinstimmung wird der Mikrocomputer wieder zur Fort- 
setzunt seiner normalen Rechenf unktionen freigegeben. 
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